この記事は、CatoXOpsプラットフォームを用いた脅威の調査に関するベストプラクティスを説明します。
概要
CatoXOpsプラットフォームにより、セキュリティオペレーションとネットワーク運用チームは、AIと自動化を活用して組織のネットワークをセキュリティ脅威やネットワークパフォーマンス問題の両方で監視できます。 XOpsは、膨大な量の未管理のセキュリティおよびネットワークイベントを消費可能で、クロスファンクショナルで実行可能なストーリーに変えます。
この記事は、XOpsを最大限に活用して、組織のセキュリティ監視および脅威の修復を大幅に強化する方法に関するベストプラクティスを説明します。 最初に、XOpsの機能を拡張するための統合設定について説明し、その後、Stories Workbench でストーリーを調査する方法に関するエンド・トゥ・エンドのワークフローを次のステップを含めて説明します：
XOpsの統合設定
XOpsプラットフォームの有用性を最大化するために、XOpsストーリーのプロデューサーの数とタイプを拡張する統合の設定を推奨します。 以下のエンドポイントセキュリティ統合のいずれかを設定して、潜在的脅威に対するより完全なイメージを取得し、ネットワークとエンドポイントに拡張された統合XOpsプラットフォームでの調査を実施することを推奨します。 XOpsプロデューサーの完全なリストについては、Cato XOps Serviceへようこそをご覧ください。
Microsoft Defender for Endpoint connector - Defenders for Endpointを使用している顧客は、Microsoft APIを活用してDefenderのアラートデータを統合し、エンドポイントデバイス向けのXOpsストーリーを生成できます。 この統合に関して詳しくは、Microsoft Defender for Endpoint Alerts: XOps統合の設定をご覧ください。
SentinelOne Alerts - SentinelOneを使用している顧客は、SentinelOne EDRからデータを統合し、エンドポイントデバイスのためのストーリーを生成できます。 SentinelOneプロデューサーは、エージェントUUID（デバイスID）と脅威ファイルハッシュに基づいてSentinelOne EDRインシデントのデータを相関させて、90日以内にストーリーを作成します。 これらのストーリーは、SentinelOneによって検出されたインシデントに関するすべての関連証拠を含みます。
SentinelOneアラートの統合に関して詳しくは、SentinelOne EDR: XOps統合の設定をご覧ください。
CrowdStrike Alerts - CrowdStrikeを使っている顧客は、インシデントIDに基づいてCrowdStrikeの検出データを統合できます。 これらのストーリーは、CrowdStrikeによって特定された検出に関するすべての関連証拠を含みます。
CrowdStrikeアラートの統合について詳しくは、CrowdStrike: XOps統合の設定をご覧ください。
Cato Endpoint Protection - Cato EPPソリューションは、コネクタの設定が不要なCatoXOpsとネイティブに統合され、エンドポイントデバイスのストーリーを生成します。 この統合に関して詳しくは、Cato Endpoint Protection (EPP): XOps統合の設定をご覧ください。
最重要ストーリーの特定
Story Workbenchで注力すべき適切なストーリーを選択することが、XOpsプラットフォームを効果的に利用するための重要な最初のステップです。 Workbenchで提供されるツールと情報を活用して、速やかに調査すべき最優先のストーリーを識別できます。 以下の手順を推奨します：
グループ化の活用 - グループ化オプションは、アカウントにおけるストーリーの異なる種類を把握し、ネットワーク上で関心を持つ特定の項目（ソースやユーザーなど）を示すことができます。 これらは便利なグループ化オプションの例です：
ソース および ソースIP - ストーリーに関与しているユーザーやデバイス、IPアドレスをすばやく確認
プロデューサー - 検出されたストーリーのさまざまなタイプを迅速に確認します。 異なるタイプのプロデューサーに関して詳しくは、Cato XOps Serviceへようこそをご覧ください。
インディケーター - 検出された攻撃の特定のインディケーターの概要を入手
ストーリー内の特定の関心領域を特定するのに役立つように、ご自分のネットワークからストーリーに関するさまざまな視点を得るために、異なるグループ化オプションをサイクルすることを推奨します。
重大度で優先順位付け – まず、最高の重大度スコアを持つストーリーに注力します。 これらは、ネットワークに最大の影響を与える可能性がある脅威です。 重大度列ヘッダーをクリックしてストーリーを重大度によって並べ替えるか、特定の重大度レベルのストーリーをフィルタリングすることができます。 また、グループ化オプションを使用する場合、各グループは高い重大度のストーリー数を示しています。
調査の開始
調査するストーリーを選択すると、そのストーリーをクリックして、検出および対応のストーリー概要ページで詳細を表示できます。 ストーリーで何が起こっているのかを初期的に理解するために以下の手順をお勧めします：
AIのサマリーを生成 - 詳細ウィジェットには、AIが生成した自然言語のストーリー説明を作成するツールが含まれており、豊富なコンテキストを提供し、ストーリーを迅速に評価するのに役立ちます。 AIサマリーを生成するには、AIサマリー生成ボタンをクリックします。
トラフィックがブロックされたかどうかを確認 - ターゲットアクションテーブルには、ストーリーに関連する各ターゲットのイベントが表示され、セキュリティサービス（IPSなど）がトラフィックに対してどのブロックアクションを適用したかが含まれます。 ターゲットへの一部のトラフィックがブロックされていない場合、そのストーリーはより高いリスクレベルを有します。 ターゲットへのすべてのトラフィックがブロックされている場合でも、さらに調査を必要とする進行中の脅威に関連する可能性があります。
ターゲットの評価 - ターゲットテーブルには、ストーリーに関連する外部の悪意のあるソースに関するデータが表示されます。 調査を開始する際は、次の列に注目することをお勧めします：
悪意のあるスコアは、Cato Threat Intelligenceの機械学習アルゴリズムに基づいて、ターゲットが悪意のある可能性を示します。 スコアは0（良性）から1（悪性）の範囲です
ターゲットリンクは、さまざまな外部脅威インテリジェンスソースにおけるターゲットを調べることで、ターゲットの評判を把握するのに役立ちます
XOpsプレイブックを使用 - CatoXOpsセキュリティプレイブックは、特定のストーリータイプを調査するための構造化アプローチを提供します。 調査プロセスをガイドし、アクションアイテムを特定するのに役立ちます。 関連するプレイブックを持つストーリーに対しては、詳細ウィジェットにプレイブックへのリンクが記されています。 XOpsセキュリティプレイブックはこちらからも利用可能です。
コメントの活用 - ストーリー調査がチームメンバー間の共同作業を含む場合、コメントを使用して業務が実施された内容を記録し、次のアナリストがストーリーを詳細に調査するための重要な情報とコンテキストを提供します。 コメントの利用について詳しくは、XOpsストーリー調査の管理をご覧ください。
判定の設定と修復手順
ストーリーアクションパネルを使用すれば、調査の結論として重要なアクションを実行し重要な情報を記録できます。 一部のアナリストは、判定を設定せずにストーリーを終了し、調査プロセスの多くの利益を失うという誤りを犯しています。 判定を設定することで、将来の参考のための重要な情報を記録し、修正のための推奨アクションについて学ぶことができます。 既知の脆弱性のエクスプロイト試行によってデバイスが侵害されたことを特定した後、判定を設定し基本的な修復手順を実行するためのワークフローの例です：
アクション > ストーリー管理をクリックしてストーリーアクションパネルを開きます。
アナリストの判定を悪意のあるに設定します。
脅威の深刻度を定義します。
タイプをエクスプロイト試行として定義し、可能なら脅威のより具体的な分類を定義します。 調査プロセスまたは結果に関する詳細を記録するために、追加情報欄を使用します。
推奨アクションを実行し、以下を含めます：
ストーリーで特定した悪意のあるターゲットおよびソースをブロックするファイアウォールルールを作成します。
脆弱性を修復し、将来のエクスプロイト攻撃を回避するためにデバイスソフトウェアを更新します。
侵害されたユーザーを特定した場合、そのユーザーのリモートセッションを取り消し、ネットワークへのアクセスを防止することができます。 リモートセッションの取り消しについて詳しくは、リモートユーザーセッションの取り消しをご覧ください。
ストーリーのステータスをクローズに設定します。